കുബർനെറ്റസ് ക്ലസ്റ്ററിലെ ദ്വാരങ്ങൾ ശരിയാക്കുന്നു. DevOpsConf-ൽ നിന്നുള്ള റിപ്പോർട്ടും ട്രാൻസ്ക്രിപ്റ്റും

സൗത്ത്ബ്രിഡ്ജ് സൊല്യൂഷൻസ് ആർക്കിടെക്റ്റും സ്ലർം ടീച്ചറുമായ പവൽ സെലിവാനോവ് DevOpsConf 2019-ൽ ഒരു അവതരണം നടത്തി. കുബർനെറ്റസ് “സ്ലർം മെഗാ” എന്ന വിഷയത്തെക്കുറിച്ചുള്ള ആഴത്തിലുള്ള കോഴ്‌സിന്റെ ഒരു വിഷയത്തിന്റെ ഭാഗമാണ് ഈ പ്രസംഗം.

സ്ലർം ബേസിക്: കുബർനെറ്റസിലേക്കുള്ള ഒരു ആമുഖം നവംബർ 18-20 തീയതികളിൽ മോസ്കോയിൽ നടക്കുന്നു.
സ്ലർം മെഗാ: കുബെർനെറ്റസിന്റെ തലയ്ക്ക് കീഴിൽ നോക്കുന്നു - മോസ്കോ, നവംബർ 22-24.
സ്ലർം ഓൺലൈൻ: രണ്ട് കുബർനെറ്റസ് കോഴ്സുകളും എപ്പോഴും ലഭ്യമാണ്.

കട്ടിന് താഴെ റിപ്പോർട്ടിന്റെ ട്രാൻസ്ക്രിപ്റ്റ് ഉണ്ട്.

ഗുഡ് ആഫ്റ്റർനൂൺ, സഹപ്രവർത്തകർക്കും അവരോട് സഹതപിക്കുന്നവർക്കും. ഇന്ന് ഞാൻ സുരക്ഷയെക്കുറിച്ച് സംസാരിക്കും.

ഇന്ന് ഹാളിൽ ധാരാളം സുരക്ഷാ ഗാർഡുകൾ ഉണ്ടെന്ന് ഞാൻ കാണുന്നു. സുരക്ഷിതത്വത്തിന്റെ ലോകത്തിൽ നിന്നുള്ള നിബന്ധനകൾ നിങ്ങൾക്ക് പതിവ് പോലെയല്ല ഉപയോഗിക്കുന്നത് എങ്കിൽ ഞാൻ നിങ്ങളോട് മുൻകൂട്ടി ക്ഷമ ചോദിക്കുന്നു.

ഏകദേശം ആറുമാസം മുമ്പ് ഞാൻ ഒരു പൊതു കുബർനെറ്റസ് ക്ലസ്റ്ററിനെ കാണാനിടയായി. പബ്ലിക് എന്നതിനർത്ഥം നെയിംസ്‌പെയ്‌സുകളുടെ n-ാമത്തെ എണ്ണം ഉണ്ടെന്നാണ്; ഈ നെയിംസ്‌പെയ്‌സിൽ അവരുടെ നെയിംസ്‌പെയ്‌സിൽ ഒറ്റപ്പെട്ട ഉപയോക്താക്കളുണ്ട്. ഈ ഉപയോക്താക്കളെല്ലാം വ്യത്യസ്ത കമ്പനികളിൽ നിന്നുള്ളവരാണ്. ശരി, ഈ ക്ലസ്റ്റർ ഒരു CDN ആയി ഉപയോഗിക്കണമെന്ന് അനുമാനിച്ചു. അതായത്, അവർ നിങ്ങൾക്ക് ഒരു ക്ലസ്റ്റർ നൽകുന്നു, അവർ അവിടെ നിങ്ങൾക്ക് ഒരു ഉപയോക്താവിനെ നൽകുന്നു, നിങ്ങൾ അവിടെ നിങ്ങളുടെ നെയിംസ്പേസിലേക്ക് പോകുക, നിങ്ങളുടെ മുന്നണികൾ വിന്യസിക്കുക.

എന്റെ മുൻ കമ്പനി അത്തരമൊരു സേവനം വിൽക്കാൻ ശ്രമിച്ചു. ഈ പരിഹാരം അനുയോജ്യമാണോ അല്ലയോ എന്നറിയാൻ ക്ലസ്റ്ററിൽ കുത്താൻ എന്നോട് ആവശ്യപ്പെട്ടു.

ഞാൻ ഈ ക്ലസ്റ്ററിൽ എത്തി. എനിക്ക് പരിമിതമായ അവകാശങ്ങൾ നൽകി, പരിമിതമായ നെയിംസ്പേസ്. സുരക്ഷ എന്താണെന്ന് അവിടെയുള്ള ആളുകൾക്ക് മനസ്സിലായി. കുബെർനെറ്റസിലെ റോൾ-ബേസ്ഡ് ആക്‌സസ് കൺട്രോൾ (ആർ‌ബി‌എസി)യെക്കുറിച്ച് അവർ വായിച്ചു - വിന്യാസങ്ങളിൽ നിന്ന് വേറിട്ട് പോഡുകൾ ലോഞ്ച് ചെയ്യാൻ എനിക്ക് കഴിയാത്തവിധം അവർ അത് വളച്ചൊടിച്ചു. വിന്യാസമില്ലാതെ ഒരു പോഡ് സമാരംഭിച്ച് ഞാൻ പരിഹരിക്കാൻ ശ്രമിച്ച പ്രശ്നം ഞാൻ ഓർക്കുന്നില്ല, പക്ഷേ ഒരു പോഡ് സമാരംഭിക്കാൻ ഞാൻ ശരിക്കും ആഗ്രഹിച്ചു. ഭാഗ്യത്തിന്, ക്ലസ്റ്ററിൽ എനിക്ക് എന്തെല്ലാം അവകാശങ്ങളാണുള്ളത്, എനിക്ക് എന്തുചെയ്യാൻ കഴിയും, എനിക്ക് എന്തുചെയ്യാൻ കഴിയില്ല, അവർ അവിടെ എന്താണ് അട്ടിമറിച്ചതെന്ന് കാണാൻ ഞാൻ തീരുമാനിച്ചു. അതേ സമയം, RBAC-യിൽ അവർ തെറ്റായി ക്രമീകരിച്ചത് എന്താണെന്ന് ഞാൻ നിങ്ങളോട് പറയും.

രണ്ട് മിനിറ്റിനുള്ളിൽ എനിക്ക് അവരുടെ ക്ലസ്റ്ററിലേക്ക് ഒരു അഡ്മിനെ ലഭിച്ചു, അയൽപക്കത്തെ എല്ലാ നെയിംസ്പേസുകളും നോക്കി, ഇതിനകം സേവനം വാങ്ങി വിന്യസിച്ച കമ്പനികളുടെ പ്രവർത്തിക്കുന്ന പ്രൊഡക്ഷൻ ഫ്രണ്ടുകൾ അവിടെ കണ്ടു. ഒരാളുടെ മുന്നിലേക്ക് പോകുന്നതും മെയിൻ പേജിൽ ചില ശകാരവാക്കുകൾ ഇടുന്നതും എനിക്ക് തടയാൻ കഴിഞ്ഞില്ല.

ഞാൻ ഇത് എങ്ങനെ ചെയ്തുവെന്നും ഇതിൽ നിന്ന് എങ്ങനെ സ്വയം പരിരക്ഷിക്കാമെന്നും ഉദാഹരണങ്ങൾ സഹിതം ഞാൻ നിങ്ങളോട് പറയും.

എന്നാൽ ആദ്യം, ഞാൻ എന്നെത്തന്നെ പരിചയപ്പെടുത്തട്ടെ. എന്റെ പേര് പവൽ സെലിവനോവ്. ഞാൻ സൗത്ത്ബ്രിഡ്ജിലെ ഒരു ആർക്കിടെക്റ്റാണ്. കുബെർനെറ്റസ്, DevOps എന്നിവയും എല്ലാത്തരം ഫാൻസി കാര്യങ്ങളും ഞാൻ മനസ്സിലാക്കുന്നു. സൗത്ത്ബ്രിഡ്ജ് എഞ്ചിനീയർമാരും ഞാനും ഇതെല്ലാം നിർമ്മിക്കുന്നു, ഞാൻ ആലോചിക്കുന്നു.

ഞങ്ങളുടെ പ്രധാന പ്രവർത്തനങ്ങൾക്ക് പുറമേ, ഞങ്ങൾ അടുത്തിടെ സ്ലർംസ് എന്ന പ്രോജക്ടുകൾ ആരംഭിച്ചു. കുബെർനെറ്റസുമായി ചേർന്ന് പ്രവർത്തിക്കാനുള്ള ഞങ്ങളുടെ കഴിവ് ജനങ്ങളിലേക്ക് എത്തിക്കാൻ ഞങ്ങൾ ശ്രമിക്കുന്നു, മറ്റ് ആളുകളെയും K8-കളിൽ പ്രവർത്തിക്കാൻ പഠിപ്പിക്കുക.

ഇന്ന് ഞാൻ എന്ത് സംസാരിക്കും? റിപ്പോർട്ടിന്റെ വിഷയം വ്യക്തമാണ് - കുബർനെറ്റസ് ക്ലസ്റ്ററിന്റെ സുരക്ഷയെക്കുറിച്ച്. എന്നാൽ ഈ വിഷയം വളരെ വലുതാണെന്ന് ഞാൻ ഉടൻ തന്നെ പറയാൻ ആഗ്രഹിക്കുന്നു - അതിനാൽ ഞാൻ തീർച്ചയായും എന്താണ് സംസാരിക്കാത്തതെന്ന് ഉടൻ വ്യക്തമാക്കാൻ ഞാൻ ആഗ്രഹിക്കുന്നു. ഇന്റർനെറ്റിൽ ഇതിനകം നൂറ് തവണ ഉപയോഗിച്ച ഹാക്ക്നീഡ് പദങ്ങളെക്കുറിച്ച് ഞാൻ സംസാരിക്കില്ല. എല്ലാത്തരം RBAC ഉം സർട്ടിഫിക്കറ്റുകളും.

ഒരു കുബർനെറ്റസ് ക്ലസ്റ്ററിലെ സുരക്ഷയെക്കുറിച്ച് എന്നെയും എന്റെ സഹപ്രവർത്തകരെയും വേദനിപ്പിക്കുന്നതിനെക്കുറിച്ച് ഞാൻ സംസാരിക്കും. Kubernetes ക്ലസ്റ്ററുകൾ നൽകുന്ന ദാതാക്കൾക്കിടയിലും ഞങ്ങളുടെ അടുത്തേക്ക് വരുന്ന ക്ലയന്റുകൾക്കിടയിലും ഈ പ്രശ്നങ്ങൾ ഞങ്ങൾ കാണുന്നു. മറ്റ് കൺസൾട്ടിംഗ് അഡ്മിൻ കമ്പനികളിൽ നിന്ന് ഞങ്ങളുടെ അടുത്തേക്ക് വരുന്ന ക്ലയന്റുകളിൽ നിന്ന് പോലും. അതായത്, ദുരന്തത്തിന്റെ വ്യാപ്തി യഥാർത്ഥത്തിൽ വളരെ വലുതാണ്.

ഇന്ന് ഞാൻ സംസാരിക്കാൻ പോകുന്ന അക്ഷരാർത്ഥത്തിൽ മൂന്ന് പോയിന്റുകളുണ്ട്:

1. ഉപയോക്തൃ അവകാശങ്ങൾ vs പോഡ് അവകാശങ്ങൾ. ഉപയോക്തൃ അവകാശങ്ങളും പോഡ് അവകാശങ്ങളും ഒരേ കാര്യമല്ല.
2. ക്ലസ്റ്ററിനെക്കുറിച്ചുള്ള വിവരങ്ങൾ ശേഖരിക്കുന്നു. ഈ ക്ലസ്റ്ററിൽ പ്രത്യേക അവകാശങ്ങളില്ലാതെ നിങ്ങൾക്ക് ആവശ്യമായ എല്ലാ വിവരങ്ങളും ഒരു ക്ലസ്റ്ററിൽ നിന്ന് ശേഖരിക്കാൻ കഴിയുമെന്ന് ഞാൻ കാണിച്ചുതരാം.
3. ക്ലസ്റ്ററിൽ DoS ആക്രമണം. ഞങ്ങൾക്ക് വിവരങ്ങൾ ശേഖരിക്കാൻ കഴിയുന്നില്ലെങ്കിൽ, ഏത് സാഹചര്യത്തിലും ഒരു ക്ലസ്റ്റർ സ്ഥാപിക്കാൻ ഞങ്ങൾക്ക് കഴിയും. ക്ലസ്റ്റർ കൺട്രോൾ ഘടകങ്ങളിലെ DoS ആക്രമണങ്ങളെക്കുറിച്ച് ഞാൻ സംസാരിക്കും.

ഞാൻ പരാമർശിക്കുന്ന മറ്റൊരു പൊതു കാര്യം, ഇതെല്ലാം ഞാൻ പരീക്ഷിച്ച കാര്യമാണ്, അതിൽ എല്ലാം പ്രവർത്തിക്കുന്നുവെന്ന് എനിക്ക് തീർച്ചയായും പറയാൻ കഴിയും.

Kubespray ഉപയോഗിച്ച് ഒരു Kubernetes ക്ലസ്റ്റർ സ്ഥാപിക്കുന്നത് ഞങ്ങൾ അടിസ്ഥാനമായി എടുക്കുന്നു. ആർക്കെങ്കിലും അറിയില്ലെങ്കിൽ, ഇത് യഥാർത്ഥത്തിൽ അൻസിബിളിന്റെ ഒരു കൂട്ടം റോളുകളാണ്. ഞങ്ങളുടെ ജോലിയിൽ ഞങ്ങൾ ഇത് നിരന്തരം ഉപയോഗിക്കുന്നു. നിങ്ങൾക്ക് ഇത് എവിടെയും ഉരുട്ടാൻ കഴിയും എന്നതാണ് നല്ല കാര്യം - നിങ്ങൾക്ക് ഇത് ഇരുമ്പ് കഷ്ണങ്ങളിലേക്കോ എവിടെയെങ്കിലും ഒരു മേഘത്തിലേക്കോ ഉരുട്ടാം. ഒരു ഇൻസ്റ്റലേഷൻ രീതി എല്ലാത്തിനും തത്വത്തിൽ പ്രവർത്തിക്കുന്നു.

ഈ ക്ലസ്റ്ററിൽ എനിക്ക് Kubernetes v1.14.5 ഉണ്ടായിരിക്കും. ഞങ്ങൾ പരിഗണിക്കുന്ന മുഴുവൻ ക്യൂബ് ക്ലസ്റ്ററും നെയിംസ്‌പെയ്‌സുകളായി തിരിച്ചിരിക്കുന്നു, ഓരോ നെയിംസ്‌പെയ്‌സും ഒരു പ്രത്യേക ടീമിന്റെതാണ്, കൂടാതെ ഈ ടീമിലെ അംഗങ്ങൾക്ക് ഓരോ നെയിംസ്‌പെയ്‌സിലേക്കും ആക്‌സസ് ഉണ്ട്. അവർക്ക് വ്യത്യസ്ത നാമമേഖലകളിലേക്ക് പോകാനാവില്ല, സ്വന്തം പേരിലേക്ക് മാത്രം. എന്നാൽ മുഴുവൻ ക്ലസ്റ്ററിലും അവകാശമുള്ള ഒരു നിശ്ചിത അഡ്മിൻ അക്കൗണ്ട് ഉണ്ട്.

ഞങ്ങൾ ആദ്യം ചെയ്യേണ്ടത് ക്ലസ്റ്ററിലേക്കുള്ള അഡ്മിൻ അവകാശങ്ങൾ നേടുമെന്ന് ഞാൻ വാഗ്ദാനം ചെയ്തു. കുബർനെറ്റസ് ക്ലസ്റ്ററിനെ തകർക്കുന്ന പ്രത്യേകം തയ്യാറാക്കിയ ഒരു പോഡ് ഞങ്ങൾക്ക് ആവശ്യമാണ്. നമ്മൾ ചെയ്യേണ്ടത് കുബർനെറ്റസ് ക്ലസ്റ്ററിലേക്ക് പ്രയോഗിക്കുക എന്നതാണ്.

kubectl apply -f pod.yaml

ഈ പോഡ് കുബെർനെറ്റസ് ക്ലസ്റ്ററിലെ മാസ്റ്ററുകളിൽ ഒരാളിലേക്ക് എത്തും. ഇതിനുശേഷം ക്ലസ്റ്റർ ഞങ്ങൾക്ക് admin.conf എന്ന ഫയൽ സന്തോഷത്തോടെ തിരികെ നൽകും. ക്യൂബിൽ, ഈ ഫയൽ എല്ലാ അഡ്മിനിസ്ട്രേറ്റർ സർട്ടിഫിക്കറ്റുകളും സംഭരിക്കുന്നു, അതേ സമയം ക്ലസ്റ്റർ API കോൺഫിഗർ ചെയ്യുന്നു. 98% കുബർനെറ്റസ് ക്ലസ്റ്ററുകളിലേക്കും അഡ്മിൻ ആക്‌സസ് ലഭിക്കുന്നത് ഇത്ര എളുപ്പമാണെന്ന് ഞാൻ കരുതുന്നു.

ഞാൻ ആവർത്തിക്കുന്നു, ഈ പോഡ് നിങ്ങളുടെ ക്ലസ്റ്ററിലെ ഒരു ഡെവലപ്പർ നിർമ്മിച്ചതാണ്, അയാൾക്ക് തന്റെ നിർദ്ദേശങ്ങൾ ഒരു ചെറിയ നെയിംസ്‌പെയ്‌സിലേക്ക് വിന്യസിക്കാൻ ആക്‌സസ് ഉണ്ട്, ഇതെല്ലാം RBAC ആണ്. അവന് അവകാശങ്ങളൊന്നും ഉണ്ടായിരുന്നില്ല. എന്നാൽ, സർട്ടിഫിക്കറ്റ് തിരികെ ലഭിച്ചു.

ഇപ്പോൾ പ്രത്യേകം തയ്യാറാക്കിയ ഒരു പോഡിനെക്കുറിച്ച്. ഏത് ചിത്രത്തിലും ഞങ്ങൾ അത് പ്രവർത്തിപ്പിക്കുന്നു. നമുക്ക് debian:jessie ഒരു ഉദാഹരണമായി എടുക്കാം.

ഞങ്ങൾക്ക് ഈ കാര്യം ഉണ്ട്:

tolerations:
-   effect: NoSchedule 
    operator: Exists 
nodeSelector: 
    node-role.kubernetes.io/master: "" 

എന്താണ് സഹിഷ്ണുത? ഒരു കുബർനെറ്റസ് ക്ലസ്റ്ററിലെ മാസ്റ്റേഴ്സിനെ സാധാരണയായി ടെയിൻറ് എന്ന് വിളിക്കുന്നു. ഈ "അണുബാധ" യുടെ സാരാംശം, മാസ്റ്റർ നോഡുകളിലേക്ക് പോഡുകൾ നൽകാനാവില്ലെന്ന് അത് പറയുന്നു എന്നതാണ്. എന്നാൽ അത് "അണുബാധ" യോട് സഹിഷ്ണുത പുലർത്തുന്നുവെന്ന് ഒരു പോഡിലും സൂചിപ്പിക്കാൻ ആരും മെനക്കെടുന്നില്ല. ടോളറേഷൻ വിഭാഗം പറയുന്നത് ചില നോഡുകൾക്ക് NoSchedule ഉണ്ടെങ്കിൽ, ഞങ്ങളുടെ നോഡ് അത്തരമൊരു അണുബാധയെ സഹിഷ്ണുത കാണിക്കുന്നു - പ്രശ്‌നങ്ങളൊന്നുമില്ല.

കൂടാതെ, ഞങ്ങളുടെ അണ്ടർ സഹിഷ്ണുത മാത്രമല്ല, യജമാനനെ പ്രത്യേകമായി ടാർഗെറ്റുചെയ്യാൻ ആഗ്രഹിക്കുന്നുവെന്നും ഞങ്ങൾ പറയുന്നു. കാരണം യജമാനന്മാർക്ക് നമുക്ക് ആവശ്യമുള്ള ഏറ്റവും രുചികരമായ കാര്യം ഉണ്ട് - എല്ലാ സർട്ടിഫിക്കറ്റുകളും. അതിനാൽ, ഞങ്ങൾ nodeSelector എന്ന് പറയുന്നു - കൂടാതെ മാസ്റ്ററുകളിൽ ഞങ്ങൾക്ക് ഒരു സ്റ്റാൻഡേർഡ് ലേബൽ ഉണ്ട്, അത് ക്ലസ്റ്ററിലെ എല്ലാ നോഡുകളിൽ നിന്നും മാസ്റ്റേഴ്സ് ആയ നോഡുകൾ കൃത്യമായി തിരഞ്ഞെടുക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു.

ഈ രണ്ട് വിഭാഗങ്ങളുമായി അവൻ തീർച്ചയായും മാസ്റ്ററിലേക്ക് വരും. അവനെ അവിടെ താമസിക്കാൻ അനുവദിക്കുകയും ചെയ്യും.

എന്നാൽ യജമാനന്റെ അടുത്തേക്ക് വന്നാൽ മാത്രം പോരാ. ഇത് ഞങ്ങൾക്ക് ഒന്നും തരില്ല. അടുത്തതായി നമുക്ക് ഈ രണ്ട് കാര്യങ്ങൾ ഉണ്ട്:

hostNetwork: true 
hostPID: true 

ഞങ്ങൾ സമാരംഭിക്കുന്ന ഞങ്ങളുടെ പോഡ്, കേർണൽ നെയിംസ്‌പെയ്‌സിലും നെറ്റ്‌വർക്ക് നെയിംസ്‌പെയ്‌സിലും PID നെയിംസ്‌പെയ്‌സിലും ജീവിക്കുമെന്ന് ഞങ്ങൾ വ്യക്തമാക്കുന്നു. മാസ്റ്ററിൽ പോഡ് സമാരംഭിച്ചുകഴിഞ്ഞാൽ, അതിന് ഈ നോഡിന്റെ എല്ലാ യഥാർത്ഥ, തത്സമയ ഇന്റർഫേസുകളും കാണാനും എല്ലാ ട്രാഫിക്കും കേൾക്കാനും എല്ലാ പ്രക്രിയകളുടെയും PID കാണാനും കഴിയും.

പിന്നെ ചെറിയ കാര്യങ്ങളുടെ കാര്യം. etcd എടുത്ത് നിങ്ങൾക്ക് ആവശ്യമുള്ളത് വായിക്കുക.

ഏറ്റവും രസകരമായ കാര്യം ഈ കുബർനെറ്റസ് സവിശേഷതയാണ്, അത് അവിടെ സ്ഥിരസ്ഥിതിയായി നിലവിലുണ്ട്.

volumeMounts:
- mountPath: /host 
  name: host 
volumes:
- hostPath: 
    path: / 
    type: Directory 
  name: host 

ഈ ക്ലസ്റ്ററിന്റെ അവകാശങ്ങളില്ലാതെ പോലും ഞങ്ങൾ സമാരംഭിക്കുന്ന പോഡിൽ, ഹോസ്റ്റ്പാത്ത് ടൈപ്പിന്റെ ഒരു വോളിയം സൃഷ്ടിക്കാൻ ഞങ്ങൾ ആഗ്രഹിക്കുന്നു എന്നതാണ് അതിന്റെ സാരം. ഇതിനർത്ഥം ഞങ്ങൾ ലോഞ്ച് ചെയ്യുന്ന ഹോസ്റ്റിൽ നിന്ന് പാത്ത് എടുക്കുകയും അത് വോളിയമായി എടുക്കുകയും ചെയ്യുന്നു. തുടർന്ന് ഞങ്ങൾ അതിനെ പേര് വിളിക്കുന്നു: ഹോസ്റ്റ്. ഈ മുഴുവൻ ഹോസ്റ്റ്പാത്തും ഞങ്ങൾ പോഡിനുള്ളിൽ മൗണ്ട് ചെയ്യുന്നു. ഈ ഉദാഹരണത്തിൽ, /ഹോസ്റ്റ് ഡയറക്ടറിയിലേക്ക്.

ഞാൻ അത് വീണ്ടും ആവർത്തിക്കും. ഞങ്ങൾ പോഡിനോട് മാസ്റ്ററിലേക്ക് വരാൻ പറഞ്ഞു, അവിടെ ഹോസ്റ്റ് നെറ്റ്‌വർക്കും ഹോസ്റ്റ്പിഐഡിയും നേടുക - കൂടാതെ മാസ്റ്ററിന്റെ മുഴുവൻ റൂട്ടും ഈ പോഡിനുള്ളിൽ മൗണ്ട് ചെയ്യുക.

ഡെബിയനിൽ ഞങ്ങൾക്ക് ബാഷ് റണ്ണിംഗ് ഉണ്ടെന്ന് നിങ്ങൾ മനസ്സിലാക്കുന്നു, ഈ ബാഷ് റൂട്ടിന് കീഴിൽ പ്രവർത്തിക്കുന്നു. അതായത്, കുബർനെറ്റസ് ക്ലസ്റ്ററിൽ യാതൊരു അവകാശവുമില്ലാതെ ഞങ്ങൾക്ക് മാസ്റ്ററിൽ റൂട്ട് ലഭിച്ചു.

അപ്പോൾ മുഴുവൻ ജോലിയും സബ് ഡയറക്ടറി / ഹോസ്റ്റ് / etc / kubernetes / pki എന്നതിലേക്ക് പോകുക എന്നതാണ്, എനിക്ക് തെറ്റിദ്ധരിച്ചിട്ടില്ലെങ്കിൽ, ക്ലസ്റ്ററിന്റെ എല്ലാ മാസ്റ്റർ സർട്ടിഫിക്കറ്റുകളും എടുക്കുക, അതനുസരിച്ച്, ക്ലസ്റ്റർ അഡ്മിനിസ്ട്രേറ്റർ ആകുക.

നിങ്ങൾ ഇത് ഈ രീതിയിൽ നോക്കുകയാണെങ്കിൽ, പോഡുകളിലെ ഏറ്റവും അപകടകരമായ ചില അവകാശങ്ങൾ ഇവയാണ് - ഉപയോക്താവിന് എന്ത് അവകാശങ്ങൾ ഉണ്ടെങ്കിലും:

ക്ലസ്റ്ററിന്റെ ഏതെങ്കിലും നെയിംസ്‌പെയ്‌സിൽ ഒരു പോഡ് പ്രവർത്തിപ്പിക്കാൻ എനിക്ക് അവകാശമുണ്ടെങ്കിൽ, ഈ പോഡിന് ഡിഫോൾട്ടായി ഈ അവകാശങ്ങളുണ്ട്. എനിക്ക് പ്രിവിലേജ്ഡ് പോഡുകൾ പ്രവർത്തിപ്പിക്കാൻ കഴിയും, ഇവ പൊതുവെ എല്ലാ അവകാശങ്ങളുമാണ്, പ്രായോഗികമായി നോഡിൽ റൂട്ട് ചെയ്യുന്നു.

എന്റെ പ്രിയപ്പെട്ട റൂട്ട് ഉപയോക്താവ്. കുബർനെറ്റസിന് ഈ റൺ അസ് നോൺ-റൂട്ട് ഓപ്ഷൻ ഉണ്ട്. ഇത് ഒരു ഹാക്കർമാരിൽ നിന്നുള്ള സംരക്ഷണമാണ്. "മോൾഡേവിയൻ വൈറസ്" എന്താണെന്ന് നിങ്ങൾക്കറിയാമോ? നിങ്ങൾ പെട്ടെന്ന് ഒരു ഹാക്കർ ആകുകയും എന്റെ കുബർനെറ്റസ് ക്ലസ്റ്ററിലേക്ക് വരികയും ചെയ്താൽ, ഞങ്ങൾ, പാവപ്പെട്ട അഡ്മിനിസ്ട്രേറ്റർമാരോട് ചോദിക്കുന്നു: "നിങ്ങൾ എന്റെ ക്ലസ്റ്റർ ഹാക്ക് ചെയ്യുന്ന നിങ്ങളുടെ പോഡുകളിൽ സൂചിപ്പിക്കുക, റൂട്ട് അല്ലാത്തത് പ്രവർത്തിപ്പിക്കുക. അല്ലെങ്കിൽ, റൂട്ടിന് കീഴിൽ നിങ്ങളുടെ പോഡിൽ നിങ്ങൾ പ്രക്രിയ പ്രവർത്തിപ്പിക്കുന്നത് സംഭവിക്കും, എന്നെ ഹാക്ക് ചെയ്യുന്നത് നിങ്ങൾക്ക് വളരെ എളുപ്പമായിരിക്കും. ദയവായി നിങ്ങളിൽ നിന്ന് സ്വയം പരിരക്ഷിക്കുക."

ഹോസ്റ്റ് പാത്ത് വോളിയം, എന്റെ അഭിപ്രായത്തിൽ, ഒരു കുബർനെറ്റസ് ക്ലസ്റ്ററിൽ നിന്ന് ആവശ്യമുള്ള ഫലം നേടുന്നതിനുള്ള ഏറ്റവും വേഗതയേറിയ മാർഗമാണ്.

എന്നാൽ ഇതെല്ലാം എന്തുചെയ്യണം?

കുബർനെറ്റസിനെ കണ്ടുമുട്ടുന്ന ഏതൊരു സാധാരണ ഭരണാധികാരിക്കും ഉണ്ടാകേണ്ട ചിന്ത ഇതാണ്: “അതെ, ഞാൻ നിങ്ങളോട് പറഞ്ഞു, കുബർനെറ്റസ് പ്രവർത്തിക്കുന്നില്ല. അതിൽ ദ്വാരങ്ങളുണ്ട്. ക്യൂബ് മുഴുവൻ ബുൾഷിറ്റാണ്. ” വാസ്തവത്തിൽ, ഡോക്യുമെന്റേഷൻ പോലെയുള്ള ഒരു കാര്യമുണ്ട്, നിങ്ങൾ അവിടെ നോക്കിയാൽ, ഒരു വിഭാഗമുണ്ട് പോഡ് സുരക്ഷാ നയം.

ഇതൊരു യാമൽ ഒബ്‌ജക്‌റ്റാണ് - നമുക്ക് ഇത് കുബർനെറ്റസ് ക്ലസ്റ്ററിൽ സൃഷ്‌ടിക്കാം - ഇത് പോഡുകളുടെ വിവരണത്തിൽ പ്രത്യേകമായി സുരക്ഷാ വശങ്ങൾ നിയന്ത്രിക്കുന്നു. അതായത്, യഥാർത്ഥത്തിൽ, സ്റ്റാർട്ടപ്പിലെ പോഡുകളിലുള്ള ഏതെങ്കിലും ഹോസ്റ്റ് നെറ്റ്‌വർക്ക്, ഹോസ്റ്റ്പിഐഡി, ചില വോളിയം തരങ്ങൾ എന്നിവ ഉപയോഗിക്കുന്നതിനുള്ള അവകാശങ്ങൾ ഇത് നിയന്ത്രിക്കുന്നു. പോഡ് സെക്യൂരിറ്റി പോളിസിയുടെ സഹായത്തോടെ ഇതെല്ലാം വിവരിക്കാം.

പോഡ് സെക്യൂരിറ്റി പോളിസിയിലെ ഏറ്റവും രസകരമായ കാര്യം, കുബർനെറ്റസ് ക്ലസ്റ്ററിൽ, എല്ലാ പിഎസ്പി ഇൻസ്റ്റാളറുകളും ഒരു തരത്തിലും വിവരിച്ചിട്ടില്ല, അവ സ്ഥിരസ്ഥിതിയായി പ്രവർത്തനരഹിതമാക്കിയിരിക്കുന്നു എന്നതാണ്. പ്രവേശന പ്ലഗിൻ ഉപയോഗിച്ച് പോഡ് സുരക്ഷാ നയം പ്രവർത്തനക്ഷമമാക്കിയിരിക്കുന്നു.

ശരി, നമുക്ക് പോഡ് സെക്യൂരിറ്റി പോളിസി ക്ലസ്റ്ററിലേക്ക് വിന്യസിക്കാം, നമുക്ക് ചില സർവീസ് പോഡുകൾ നെയിംസ്‌പേസിൽ ഉണ്ടെന്ന് പറയാം, അതിൽ അഡ്മിൻമാർക്ക് മാത്രമേ പ്രവേശനമുള്ളൂ. മറ്റെല്ലാ സാഹചര്യങ്ങളിലും കായ്കൾക്ക് പരിമിതമായ അവകാശങ്ങളുണ്ടെന്ന് പറയാം. കാരണം, മിക്കവാറും ഡെവലപ്പർമാർ നിങ്ങളുടെ ക്ലസ്റ്ററിൽ പ്രിവിലേജ്ഡ് പോഡുകൾ പ്രവർത്തിപ്പിക്കേണ്ടതില്ല.

പിന്നെ എല്ലാം ശരിയാണെന്ന് തോന്നുന്നു. ഞങ്ങളുടെ കുബർനെറ്റസ് ക്ലസ്റ്റർ രണ്ട് മിനിറ്റിനുള്ളിൽ ഹാക്ക് ചെയ്യാൻ കഴിയില്ല.

ഒരു കുഴപ്പമുണ്ട്. മിക്കവാറും, നിങ്ങൾക്ക് ഒരു കുബർനെറ്റസ് ക്ലസ്റ്റർ ഉണ്ടെങ്കിൽ, നിങ്ങളുടെ ക്ലസ്റ്ററിൽ നിരീക്ഷണം ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ട്. നിങ്ങളുടെ ക്ലസ്റ്ററിന് നിരീക്ഷണമുണ്ടെങ്കിൽ അതിനെ പ്രോമിത്യൂസ് എന്ന് വിളിക്കുമെന്ന് പ്രവചിക്കാൻ പോലും ഞാൻ പോകും.

ഞാൻ നിങ്ങളോട് പറയാൻ പോകുന്നത് പ്രോമിത്യൂസ് ഓപ്പറേറ്റർക്കും പ്രോമിത്യൂസിനും അതിന്റെ ശുദ്ധമായ രൂപത്തിൽ നൽകിയിട്ടുള്ള കാര്യങ്ങൾക്ക് സാധുതയുള്ളതാണ്. എനിക്ക് ക്ലസ്റ്ററിലേക്ക് പെട്ടെന്ന് ഒരു അഡ്‌മിനെ എത്തിക്കാൻ കഴിയുന്നില്ലെങ്കിൽ, ഞാൻ കൂടുതൽ നോക്കേണ്ടതുണ്ട് എന്നാണ് ഇതിനർത്ഥം. നിങ്ങളുടെ നിരീക്ഷണത്തിന്റെ സഹായത്തോടെ എനിക്ക് തിരയാനും കഴിയും.

ഒരുപക്ഷേ എല്ലാവരും ഹബ്രെയിലെ ഒരേ ലേഖനങ്ങൾ വായിച്ചിരിക്കാം, മോണിറ്ററിംഗ് നെയിംസ്‌പെയ്‌സിലാണ് നിരീക്ഷണം സ്ഥിതി ചെയ്യുന്നത്. ഹെൽം ചാർട്ട് എല്ലാവർക്കുമായി ഏകദേശം ഒരുപോലെയാണ്. നിങ്ങൾ സ്റ്റേബിൾ/പ്രോമിത്യൂസ് ഇൻസ്റ്റാൾ ചെയ്യുകയാണെങ്കിൽ, ഏതാണ്ട് ഇതേ പേരുകളിൽ നിങ്ങൾ അവസാനിക്കുമെന്ന് ഞാൻ ഊഹിക്കുന്നു. മിക്കവാറും നിങ്ങളുടെ ക്ലസ്റ്ററിലെ DNS പേര് എനിക്ക് ഊഹിക്കേണ്ടതില്ല. കാരണം അത് സ്റ്റാൻഡേർഡ് ആണ്.

അടുത്തതായി ഞങ്ങൾക്ക് ഒരു നിശ്ചിത dev ns ഉണ്ട്, അതിൽ നിങ്ങൾക്ക് ഒരു പ്രത്യേക പോഡ് പ്രവർത്തിപ്പിക്കാൻ കഴിയും. തുടർന്ന് ഈ പോഡിൽ നിന്ന് ഇതുപോലൊന്ന് ചെയ്യുന്നത് വളരെ എളുപ്പമാണ്:

$ curl http://prometheus-kube-state-metrics.monitoring 

Prometheus-kube-state-metrics, Kubernetes API-ൽ നിന്ന് തന്നെ മെട്രിക്‌സ് ശേഖരിക്കുന്ന പ്രോമിത്യൂസ് കയറ്റുമതിക്കാരിൽ ഒരാളാണ്. അവിടെ ധാരാളം ഡാറ്റയുണ്ട്, നിങ്ങളുടെ ക്ലസ്റ്ററിൽ എന്താണ് പ്രവർത്തിക്കുന്നത്, അതെന്താണ്, അതിൽ നിങ്ങൾക്ക് എന്ത് പ്രശ്നങ്ങൾ ഉണ്ട്.

ഒരു ലളിതമായ ഉദാഹരണമായി:

kube_pod_container_info{namespace=“kube-system”,pod=”kube-apiserver-k8s- 1″,container=”kube-apiserver”,image=

"gcr.io/google-containers/kube-apiserver:v1.14.5"

,image_id=»docker-pullable://gcr.io/google-containers/kube- apiserver@sha256:e29561119a52adad9edc72bfe0e7fcab308501313b09bf99df4a96 38ee634989″,container_id=»docker://7cbe7b1fea33f811fdd8f7e0e079191110268f2 853397d7daf08e72c22d3cf8b»} 1

ഒരു പ്രത്യേകാവകാശമില്ലാത്ത പോഡിൽ നിന്ന് ലളിതമായ ഒരു ചുരുളൻ അഭ്യർത്ഥന നടത്തുന്നതിലൂടെ, നിങ്ങൾക്ക് ഇനിപ്പറയുന്ന വിവരങ്ങൾ ലഭിക്കും. നിങ്ങൾ പ്രവർത്തിപ്പിക്കുന്ന കുബർനെറ്റസിന്റെ ഏത് പതിപ്പാണ് എന്ന് നിങ്ങൾക്ക് അറിയില്ലെങ്കിൽ, അത് നിങ്ങളോട് എളുപ്പത്തിൽ പറയും.

ഏറ്റവും രസകരമായ കാര്യം, kube-state-metrics ആക്‌സസ് ചെയ്യുന്നതിനു പുറമേ, നിങ്ങൾക്ക് Prometheus-ലേക്ക് നേരിട്ട് ആക്‌സസ് ചെയ്യാൻ കഴിയും എന്നതാണ്. നിങ്ങൾക്ക് അവിടെ നിന്ന് അളവുകൾ ശേഖരിക്കാം. നിങ്ങൾക്ക് അവിടെ നിന്ന് അളവുകൾ നിർമ്മിക്കാനും കഴിയും. സൈദ്ധാന്തികമായി പോലും, പ്രോമിത്യൂസിലെ ഒരു ക്ലസ്റ്ററിൽ നിന്ന് നിങ്ങൾക്ക് അത്തരമൊരു ചോദ്യം നിർമ്മിക്കാൻ കഴിയും, അത് അത് ഓഫാക്കും. നിങ്ങളുടെ നിരീക്ഷണം ക്ലസ്റ്ററിൽ നിന്ന് പ്രവർത്തിക്കുന്നത് പൂർണ്ണമായും നിർത്തും.

ഏതെങ്കിലും ബാഹ്യ നിരീക്ഷണം നിങ്ങളുടെ നിരീക്ഷണം നിരീക്ഷിക്കുന്നുണ്ടോ എന്ന ചോദ്യം ഇവിടെ ഉയർന്നുവരുന്നു. ഒരു കുബർനെറ്റസ് ക്ലസ്റ്ററിൽ പ്രവർത്തിക്കാനുള്ള അവസരം എനിക്കുണ്ടായി. ഇനി മോണിറ്ററിംഗ് ഇല്ലാത്തതിനാൽ ഞാൻ അവിടെയാണ് പ്രവർത്തിക്കുന്നത് എന്ന് നിങ്ങൾക്ക് അറിയില്ല.

PSP-യെപ്പോലെ, ഈ ഫാൻസി ടെക്നോളജികളെല്ലാം - കുബർനെറ്റസ്, പ്രൊമിത്യൂസ് - അവ പ്രവർത്തിക്കാത്തതും ദ്വാരങ്ങൾ നിറഞ്ഞതുമാണ് എന്നതാണ് പ്രശ്നം. ശരിക്കുമല്ല.

അങ്ങനെ ഒരു കാര്യമുണ്ട് - നെറ്റ്‌വർക്ക് നയം.

നിങ്ങളൊരു സാധാരണ അഡ്മിൻ ആണെങ്കിൽ, നെറ്റ്‌വർക്ക് പോളിസിയെ കുറിച്ച് നിങ്ങൾക്കറിയാം, ഇത് മറ്റൊരു യാമം മാത്രമാണെന്ന്, അവയിൽ ധാരാളം അവ ഇതിനകം ക്ലസ്റ്ററിൽ ഉണ്ട്. ചില നെറ്റ്‌വർക്ക് നയങ്ങൾ തീർച്ചയായും ആവശ്യമില്ല. നെറ്റ്‌വർക്ക് പോളിസി എന്താണെന്ന് നിങ്ങൾ വായിച്ചാലും, ഇത് കുബർനെറ്റിന്റെ ഒരു yaml ഫയർവാൾ ആണെന്ന്, നെയിംസ്‌പെയ്‌സുകൾക്കിടയിലും പോഡുകൾക്കിടയിലും ആക്‌സസ് അവകാശങ്ങൾ പരിമിതപ്പെടുത്താൻ ഇത് നിങ്ങളെ അനുവദിക്കുന്നു, തുടർന്ന് കുബർനെറ്റസിലെ yaml ഫോർമാറ്റിലുള്ള ഫയർവാൾ അടുത്ത സംഗ്രഹങ്ങളെ അടിസ്ഥാനമാക്കിയുള്ളതാണെന്ന് നിങ്ങൾ തീർച്ചയായും തീരുമാനിച്ചു. ... ഇല്ല ഇല്ല . ഇത് തീർച്ചയായും ആവശ്യമില്ല.

നിങ്ങളുടെ കുബർനെറ്റസ് ഉപയോഗിച്ച് നിങ്ങൾക്ക് വളരെ എളുപ്പവും ലളിതവുമായ ഫയർവാൾ നിർമ്മിക്കാനാകുമെന്ന് നിങ്ങളുടെ സുരക്ഷാ വിദഗ്ധരോട് പറഞ്ഞിട്ടില്ലെങ്കിലും, അതിൽ വളരെ ഗ്രാനുലാർ ഫയർവാൾ നിർമ്മിക്കാം. അവർക്ക് ഇത് ഇതുവരെ അറിയില്ലെങ്കിലും നിങ്ങളെ ശല്യപ്പെടുത്തുന്നില്ലെങ്കിൽ: “ശരി, എനിക്ക് തരൂ, എനിക്ക് തരൂ...” പിന്നെ ഏത് സാഹചര്യത്തിലും, നിങ്ങളുടെ ക്ലസ്റ്ററിൽ നിന്ന് പിൻവലിക്കാവുന്ന ചില സേവന സ്ഥലങ്ങളിലേക്കുള്ള ആക്‌സസ് തടയുന്നതിന് നിങ്ങൾക്ക് നെറ്റ്‌വർക്ക് നയം ആവശ്യമാണ്. യാതൊരു അനുമതിയും ഇല്ലാതെ.

ഞാൻ നൽകിയ ഉദാഹരണത്തിലെന്നപോലെ, കുബെർനെറ്റസ് ക്ലസ്റ്ററിലെ ഏത് നെയിംസ്‌പെയ്‌സിൽ നിന്നും നിങ്ങൾക്ക് ക്യൂബ് സ്റ്റേറ്റ് മെട്രിക്‌സ് എടുക്കാൻ യാതൊരു അവകാശവുമില്ലാതെ എടുക്കാം. നെറ്റ്‌വർക്ക് നയങ്ങൾക്ക് മറ്റെല്ലാ നെയിംസ്‌പെയ്‌സുകളിൽ നിന്നും മോണിറ്ററിംഗ് നെയിംസ്‌പെയ്‌സിലേക്കുള്ള ആക്‌സസ് അടച്ചു, അത്രമാത്രം: ആക്‌സസ് ഇല്ല, പ്രശ്‌നങ്ങളില്ല. നിലവിലുള്ള എല്ലാ ചാർട്ടുകളിലും, സ്റ്റാൻഡേർഡ് പ്രോമിത്യൂസും ഓപ്പറേറ്ററിലുള്ള പ്രോമിത്യൂസും, അവയ്‌ക്കായി നെറ്റ്‌വർക്ക് നയങ്ങൾ പ്രാപ്‌തമാക്കുന്നതിന് ഹെം മൂല്യങ്ങളിൽ ഒരു ഓപ്ഷൻ ഉണ്ട്. നിങ്ങൾ അത് ഓണാക്കേണ്ടതുണ്ട്, അവ പ്രവർത്തിക്കും.

ഇവിടെ ശരിക്കും ഒരു പ്രശ്നമുണ്ട്. ഒരു സാധാരണ താടിയുള്ള അഡ്മിൻ ആയതിനാൽ, നെറ്റ്‌വർക്ക് നയങ്ങൾ ആവശ്യമില്ലെന്ന് നിങ്ങൾ മിക്കവാറും തീരുമാനിച്ചിരിക്കാം. Habr പോലുള്ള വിഭവങ്ങളെക്കുറിച്ചുള്ള എല്ലാത്തരം ലേഖനങ്ങളും വായിച്ചതിനുശേഷം, നിങ്ങൾക്ക് തിരഞ്ഞെടുക്കാൻ കഴിയുന്ന ഏറ്റവും മികച്ച കാര്യം ഫ്ലാനൽ, പ്രത്യേകിച്ച് ഹോസ്റ്റ്-ഗേറ്റ്‌വേ മോഡ് ആണെന്ന് നിങ്ങൾ തീരുമാനിച്ചു.

ഞാൻ എന്തു ചെയ്യണം?

നിങ്ങളുടെ കുബർനെറ്റസ് ക്ലസ്റ്ററിൽ ഉള്ള നെറ്റ്‌വർക്ക് സൊല്യൂഷൻ വീണ്ടും വിന്യസിക്കാൻ നിങ്ങൾക്ക് ശ്രമിക്കാം, കൂടുതൽ പ്രവർത്തനക്ഷമമായ എന്തെങ്കിലും ഉപയോഗിച്ച് അത് മാറ്റിസ്ഥാപിക്കാൻ ശ്രമിക്കുക. അതേ കാലിക്കോയ്ക്ക്, ഉദാഹരണത്തിന്. എന്നാൽ ഒരു കുബർനെറ്റസ് വർക്കിംഗ് ക്ലസ്റ്ററിലെ നെറ്റ്‌വർക്ക് സൊല്യൂഷൻ മാറ്റുന്നതിനുള്ള ചുമതല വളരെ നിസ്സാരമാണെന്ന് ഞാൻ ഉടൻ തന്നെ പറയാൻ ആഗ്രഹിക്കുന്നു. ഞാൻ ഇത് രണ്ടുതവണ പരിഹരിച്ചു (രണ്ട് തവണയും, എന്നിരുന്നാലും, സൈദ്ധാന്തികമായി), പക്ഷേ അത് എങ്ങനെ ചെയ്യണമെന്ന് ഞങ്ങൾ സ്ലർമുകളിൽ കാണിച്ചുതന്നു. ഞങ്ങളുടെ വിദ്യാർത്ഥികൾക്കായി, ഒരു കുബർനെറ്റസ് ക്ലസ്റ്ററിൽ നെറ്റ്‌വർക്ക് സൊല്യൂഷൻ എങ്ങനെ മാറ്റാമെന്ന് ഞങ്ങൾ കാണിച്ചുതന്നു. തത്വത്തിൽ, പ്രൊഡക്ഷൻ ക്ലസ്റ്ററിൽ പ്രവർത്തനരഹിതമായ സമയമില്ലെന്ന് ഉറപ്പാക്കാൻ നിങ്ങൾക്ക് ശ്രമിക്കാം. എന്നാൽ നിങ്ങൾ ഒരുപക്ഷേ വിജയിക്കില്ല.

കൂടാതെ പ്രശ്നം യഥാർത്ഥത്തിൽ വളരെ ലളിതമായി പരിഹരിച്ചിരിക്കുന്നു. ക്ലസ്റ്ററിൽ സർട്ടിഫിക്കറ്റുകൾ ഉണ്ട്, നിങ്ങളുടെ സർട്ടിഫിക്കറ്റുകൾ ഒരു വർഷത്തിനുള്ളിൽ കാലഹരണപ്പെടുമെന്ന് നിങ്ങൾക്കറിയാം. ശരി, സാധാരണയായി ക്ലസ്റ്ററിലെ സർട്ടിഫിക്കറ്റുകളുള്ള ഒരു സാധാരണ പരിഹാരം - എന്തുകൊണ്ടാണ് ഞങ്ങൾ വിഷമിക്കുന്നത്, ഞങ്ങൾ സമീപത്ത് ഒരു പുതിയ ക്ലസ്റ്റർ ഉയർത്തും, പഴയത് ചീഞ്ഞഴുകിപ്പോകട്ടെ, എല്ലാം വീണ്ടും വിന്യസിക്കുക. ശരിയാണ്, അത് ചീഞ്ഞഴുകുമ്പോൾ, നമുക്ക് ഒരു ദിവസം ഇരിക്കേണ്ടി വരും, പക്ഷേ ഇതാ ഒരു പുതിയ ക്ലസ്റ്റർ.

നിങ്ങൾ ഒരു പുതിയ ക്ലസ്റ്റർ ഉയർത്തുമ്പോൾ, അതേ സമയം ഫ്ലാനലിന് പകരം കാലിക്കോ ചേർക്കുക.

നിങ്ങളുടെ സർട്ടിഫിക്കറ്റുകൾ നൂറു വർഷത്തേക്ക് ഇഷ്യൂ ചെയ്യപ്പെടുകയും നിങ്ങൾ ക്ലസ്റ്റർ വീണ്ടും വിന്യസിക്കാൻ പോകുന്നില്ലെങ്കിൽ എന്തുചെയ്യണം? Kube-RBAC-Proxy പോലെയുള്ള ഒരു കാര്യമുണ്ട്. ഇത് വളരെ രസകരമായ ഒരു വികസനമാണ്, കുബർനെറ്റസ് ക്ലസ്റ്ററിലെ ഏത് പോഡിലേക്കും ഒരു സൈഡ്കാർ കണ്ടെയ്‌നറായി സ്വയം ഉൾപ്പെടുത്താൻ ഇത് നിങ്ങളെ അനുവദിക്കുന്നു. കുബെർനെറ്റസിന്റെ തന്നെ RBAC വഴി ഈ പോഡിന് ഇത് യഥാർത്ഥത്തിൽ അംഗീകാരം നൽകുന്നു.

ഒരു പ്രശ്നമുണ്ട്. മുമ്പ്, ഈ ക്യൂബ്-ആർബിഎസി-പ്രോക്സി സൊല്യൂഷൻ ഓപ്പറേറ്ററുടെ പ്രോമിത്യൂസിലാണ് നിർമ്മിച്ചിരിക്കുന്നത്. എന്നാൽ പിന്നീട് അവൻ പോയി. ഇപ്പോൾ ആധുനിക പതിപ്പുകൾ നിങ്ങൾക്ക് ഒരു നെറ്റ്‌വർക്ക് പോളിസി ഉണ്ടെന്നും അവ ഉപയോഗിച്ച് അത് അടയ്ക്കുന്നു എന്ന വസ്തുതയെ ആശ്രയിക്കുന്നു. അതിനാൽ ഞങ്ങൾ ചാർട്ട് അല്പം മാറ്റിയെഴുതേണ്ടിവരും. വാസ്തവത്തിൽ, നിങ്ങൾ പോയാൽ ഈ ശേഖരം, ഇത് സൈഡ്‌കാറുകളായി എങ്ങനെ ഉപയോഗിക്കാമെന്നതിന് ഉദാഹരണങ്ങളുണ്ട്, കൂടാതെ ചാർട്ടുകൾ ചുരുങ്ങിയത് മാറ്റിയെഴുതേണ്ടിവരും.

ഒരു ചെറിയ പ്രശ്നം കൂടിയുണ്ട്. പ്രോമിത്യൂസ് മാത്രമല്ല അതിന്റെ അളവുകൾ ആർക്കും കൈമാറുന്നത്. ഞങ്ങളുടെ എല്ലാ കുബർനെറ്റസ് ക്ലസ്റ്റർ ഘടകങ്ങൾക്കും അവരുടേതായ അളവുകൾ തിരികെ നൽകാൻ കഴിയും.

എന്നാൽ ഞാൻ ഇതിനകം പറഞ്ഞതുപോലെ, നിങ്ങൾക്ക് ക്ലസ്റ്റർ ആക്സസ് ചെയ്യാനും വിവരങ്ങൾ ശേഖരിക്കാനും കഴിയുന്നില്ലെങ്കിൽ, നിങ്ങൾക്ക് കുറച്ച് ദോഷമെങ്കിലും ചെയ്യാം.

അതിനാൽ ഒരു കുബർനെറ്റസ് ക്ലസ്റ്റർ എങ്ങനെ നശിപ്പിക്കാമെന്ന് ഞാൻ രണ്ട് വഴികൾ വേഗത്തിൽ കാണിക്കും.

ഞാൻ ഇത് നിങ്ങളോട് പറയുമ്പോൾ നിങ്ങൾ ചിരിക്കും, ഇത് രണ്ട് യഥാർത്ഥ ജീവിത കേസുകളാണ്.

രീതി ഒന്ന്. വിഭവശോഷണം.

നമുക്ക് മറ്റൊരു പ്രത്യേക പോഡ് സമാരംഭിക്കാം. ഇതിന് ഇതുപോലെ ഒരു വിഭാഗം ഉണ്ടാകും.

resources: 
    requests: 
        cpu: 4 
        memory: 4Gi 

നിങ്ങൾക്കറിയാവുന്നതുപോലെ, അഭ്യർത്ഥനകളുള്ള നിർദ്ദിഷ്‌ട പോഡുകൾക്കായി ഹോസ്റ്റിൽ റിസർവ് ചെയ്‌തിരിക്കുന്ന സിപിയു, മെമ്മറി എന്നിവയുടെ അളവാണ് അഭ്യർത്ഥനകൾ. ഞങ്ങൾക്ക് ഒരു കുബർനെറ്റസ് ക്ലസ്റ്ററിൽ നാല് കോർ ഹോസ്റ്റ് ഉണ്ടെങ്കിൽ, നാല് സിപിയു പോഡുകൾ അഭ്യർത്ഥനകളുമായി അവിടെ എത്തുന്നുവെങ്കിൽ, അതിനർത്ഥം അഭ്യർത്ഥനകളുള്ള പോഡുകൾക്ക് ഈ ഹോസ്റ്റിലേക്ക് വരാൻ കഴിയില്ല എന്നാണ്.

ഞാൻ അത്തരമൊരു പോഡ് പ്രവർത്തിപ്പിക്കുകയാണെങ്കിൽ, ഞാൻ കമാൻഡ് പ്രവർത്തിപ്പിക്കും:

$ kubectl scale special-pod --replicas=...

അപ്പോൾ മറ്റാർക്കും കുബർനെറ്റസ് ക്ലസ്റ്ററിലേക്ക് വിന്യസിക്കാൻ കഴിയില്ല. കാരണം എല്ലാ നോഡുകളിലും അഭ്യർത്ഥനകൾ തീരും. അങ്ങനെ ഞാൻ നിങ്ങളുടെ കുബർനെറ്റസ് ക്ലസ്റ്റർ നിർത്തും. ഞാൻ ഇത് വൈകുന്നേരം ചെയ്താൽ, എനിക്ക് വിന്യാസങ്ങൾ വളരെക്കാലം നിർത്താനാകും.

കുബർനെറ്റസ് ഡോക്യുമെന്റേഷനിലേക്ക് വീണ്ടും നോക്കിയാൽ, ലിമിറ്റ് റേഞ്ച് എന്ന് വിളിക്കപ്പെടുന്ന സംഗതി നമുക്ക് കാണാം. ഇത് ക്ലസ്റ്റർ ഒബ്‌ജക്‌റ്റുകൾക്കായി ഉറവിടങ്ങൾ സജ്ജമാക്കുന്നു. നിങ്ങൾക്ക് yaml-ൽ ഒരു ലിമിറ്റ് റേഞ്ച് ഒബ്‌ജക്റ്റ് എഴുതാം, അത് ചില നെയിംസ്‌പെയ്‌സുകളിൽ പ്രയോഗിക്കാം - തുടർന്ന് ഈ നെയിംസ്‌പെയ്‌സിൽ നിങ്ങൾക്ക് പോഡ്‌സിനായി ഡിഫോൾട്ട്, പരമാവധി, മിനിമം ഉറവിടങ്ങൾ ഉണ്ടെന്ന് പറയാം.

അത്തരമൊരു സംഗതിയുടെ സഹായത്തോടെ, ടീമുകളുടെ പ്രത്യേക ഉൽപ്പന്ന നാമമേഖലകളിലെ ഉപയോക്താക്കളെ അവരുടെ പോഡുകളിൽ എല്ലാത്തരം മോശമായ കാര്യങ്ങളും സൂചിപ്പിക്കാനുള്ള കഴിവ് ഞങ്ങൾക്ക് പരിമിതപ്പെടുത്താം. നിർഭാഗ്യവശാൽ, ഒന്നിലധികം സിപിയുവിനുള്ള അഭ്യർത്ഥനകളുള്ള പോഡുകൾ സമാരംഭിക്കാൻ കഴിയില്ലെന്ന് നിങ്ങൾ ഉപയോക്താവിനോട് പറഞ്ഞാലും, അത്തരമൊരു അത്ഭുതകരമായ സ്കെയിൽ കമാൻഡ് ഉണ്ട്, അല്ലെങ്കിൽ അവർക്ക് ഡാഷ്ബോർഡിലൂടെ സ്കെയിൽ ചെയ്യാൻ കഴിയും.

ഇവിടെയാണ് രീതി നമ്പർ രണ്ട് വരുന്നത്. ഞങ്ങൾ 11 പോഡുകൾ വിക്ഷേപിക്കുന്നു. അതായത് പതിനൊന്ന് ബില്യൺ. ഇത് ഞാൻ അങ്ങനെ ഒരു നമ്പർ കൊണ്ടുവന്നത് കൊണ്ടല്ല, അത് ഞാൻ തന്നെ കണ്ടതുകൊണ്ടാണ്.

യഥാർത്ഥ കഥ. വൈകുന്നേരത്തോടെ ഞാൻ ഓഫീസിൽ നിന്ന് ഇറങ്ങാൻ ഒരുങ്ങി. ഒരു കൂട്ടം ഡെവലപ്പർമാർ അവരുടെ ലാപ്‌ടോപ്പുകളിൽ ഭ്രാന്തമായി എന്തോ ചെയ്യുന്നത് മൂലയിൽ ഇരിക്കുന്നത് ഞാൻ കാണുന്നു. ഞാൻ ആൺകുട്ടികളുടെ അടുത്തേക്ക് പോയി ചോദിക്കുന്നു: "നിങ്ങൾക്ക് എന്ത് സംഭവിച്ചു?"

കുറച്ച് മുമ്പ്, വൈകുന്നേരം ഒമ്പത് മണിയോടെ, ഡെവലപ്പർമാരിൽ ഒരാൾ വീട്ടിലേക്ക് പോകാൻ തയ്യാറെടുക്കുകയായിരുന്നു. ഞാൻ തീരുമാനിച്ചു: "ഞാൻ ഇപ്പോൾ എന്റെ അപേക്ഷ ഒന്നായി കുറയ്ക്കും." ഞാൻ ഒന്ന് അമർത്തി, പക്ഷേ ഇന്റർനെറ്റ് കുറച്ച് വേഗത കുറഞ്ഞു. അവൻ ഒന്ന് വീണ്ടും അമർത്തി, ഒന്ന് അമർത്തി, എന്റർ ക്ലിക്ക് ചെയ്തു. എനിക്ക് പറ്റുന്നതെല്ലാം ഞാൻ കുത്തി. അപ്പോൾ ഇന്റർനെറ്റ് ജീവൻ പ്രാപിച്ചു - എല്ലാം ഈ സംഖ്യയിലേക്ക് കുറയാൻ തുടങ്ങി.

ശരിയാണ്, ഈ കഥ കുബർനെറ്റസിൽ നടന്നതല്ല; അക്കാലത്ത് അത് നാടോടിയായിരുന്നു. നോമാഡിനെ സ്കെയിൽ ചെയ്യാനുള്ള നിരന്തരമായ ശ്രമങ്ങളിൽ നിന്ന് തടയാനുള്ള ഞങ്ങളുടെ ഒരു മണിക്കൂറിന് ശേഷം, സ്കെയിലിംഗ് നിർത്തില്ലെന്നും മറ്റൊന്നും ചെയ്യില്ലെന്നും നോമാഡ് മറുപടി നൽകി എന്ന വസ്തുതയോടെയാണ് ഇത് അവസാനിച്ചത്. "ഞാൻ ക്ഷീണിതനാണ്, ഞാൻ പോകുന്നു." അവൻ ചുരുണ്ടുകൂടി.

സ്വാഭാവികമായും, കുബർനെറ്റസിലും ഞാൻ അത് ചെയ്യാൻ ശ്രമിച്ചു. പതിനൊന്ന് ബില്യൺ പോഡുകളിൽ കുബർനെറ്റസ് സന്തുഷ്ടനല്ല, അദ്ദേഹം പറഞ്ഞു: “എനിക്ക് കഴിയില്ല. ആന്തരിക മൗത്ത് ഗാർഡുകളെ കവിയുന്നു." എന്നാൽ 1 കായ്കൾക്ക് കഴിയും.

ഒരു ബില്യൺ പ്രതികരണമായി, ക്യൂബ് അതിൽ തന്നെ പിൻവലിച്ചില്ല. അവൻ ശരിക്കും സ്കെയിൽ ചെയ്യാൻ തുടങ്ങി. പ്രക്രിയ കൂടുതൽ മുന്നോട്ട് പോകുന്തോറും പുതിയ കായ്കൾ സൃഷ്ടിക്കാൻ അദ്ദേഹത്തിന് കൂടുതൽ സമയമെടുത്തു. എന്നാൽ അപ്പോഴും പ്രക്രിയ തുടർന്നു. എന്റെ നെയിംസ്‌പെയ്‌സിൽ പരിധിയില്ലാതെ പോഡുകൾ സമാരംഭിക്കാൻ കഴിയുമെങ്കിൽ, അഭ്യർത്ഥനകളും പരിധികളും ഇല്ലാതെ പോലും എനിക്ക് ചില ടാസ്‌ക്കുകൾ ഉപയോഗിച്ച് ധാരാളം പോഡുകൾ സമാരംഭിക്കാൻ കഴിയും എന്നതാണ് ഒരേയൊരു പ്രശ്‌നം, ഈ ടാസ്‌ക്കുകളുടെ സഹായത്തോടെ നോഡുകൾ മെമ്മറിയിൽ, സിപിയുവിൽ കൂട്ടിച്ചേർക്കാൻ തുടങ്ങും. ഞാൻ വളരെയധികം പോഡുകൾ സമാരംഭിക്കുമ്പോൾ, അവയിൽ നിന്നുള്ള വിവരങ്ങൾ സ്റ്റോറേജിലേക്ക് പോകണം, അതായത്, മുതലായവ. വളരെയധികം വിവരങ്ങൾ അവിടെ എത്തുമ്പോൾ, സംഭരണം വളരെ സാവധാനത്തിൽ മടങ്ങാൻ തുടങ്ങുന്നു - കുബർനെറ്റസ് മങ്ങിയതായി മാറാൻ തുടങ്ങുന്നു.

ഒരു പ്രശ്നം കൂടി... നിങ്ങൾക്കറിയാവുന്നതുപോലെ, കുബർനെറ്റസ് നിയന്ത്രണ ഘടകങ്ങൾ ഒരു കേന്ദ്ര കാര്യമല്ല, മറിച്ച് നിരവധി ഘടകങ്ങളാണ്. പ്രത്യേകിച്ച്, ഒരു കൺട്രോളർ മാനേജർ, ഷെഡ്യൂളർ തുടങ്ങിയവയുണ്ട്. ഇവരെല്ലാം ഒരേ സമയം അനാവശ്യവും മണ്ടത്തരവുമായ ജോലികൾ ചെയ്യാൻ തുടങ്ങും, അത് കാലക്രമേണ കൂടുതൽ കൂടുതൽ സമയമെടുക്കാൻ തുടങ്ങും. കൺട്രോളർ മാനേജർ പുതിയ പോഡുകൾ സൃഷ്ടിക്കും. അവർക്കായി ഒരു പുതിയ നോഡ് കണ്ടെത്താൻ ഷെഡ്യൂളർ ശ്രമിക്കും. നിങ്ങളുടെ ക്ലസ്റ്ററിലെ പുതിയ നോഡുകൾ ഉടൻ തീർന്നുപോകാൻ സാധ്യതയുണ്ട്. കുബർനെറ്റസ് ക്ലസ്റ്റർ സാവധാനത്തിലും സാവധാനത്തിലും പ്രവർത്തിക്കാൻ തുടങ്ങും.

എന്നാൽ ഞാൻ ഇനിയും മുന്നോട്ട് പോകാൻ തീരുമാനിച്ചു. നിങ്ങൾക്കറിയാവുന്നതുപോലെ, കുബർനെറ്റസിൽ ഒരു സേവനം എന്നൊരു സംഗതിയുണ്ട്. ശരി, നിങ്ങളുടെ ക്ലസ്റ്ററുകളിൽ സ്ഥിരസ്ഥിതിയായി, മിക്കവാറും, സേവനം IP പട്ടികകൾ ഉപയോഗിച്ചാണ് പ്രവർത്തിക്കുന്നത്.

നിങ്ങൾ ഒരു ബില്യൺ പോഡുകൾ പ്രവർത്തിപ്പിക്കുകയാണെങ്കിൽ, ഉദാഹരണത്തിന്, പുതിയ സേവനങ്ങൾ സൃഷ്ടിക്കാൻ കുബർനെറ്റിസിനെ നിർബന്ധിക്കാൻ ഒരു സ്ക്രിപ്റ്റ് ഉപയോഗിക്കുക:

for i in {1..1111111}; do
    kubectl expose deployment test --port 80  
        --overrides="{"apiVersion": "v1", 
           "metadata": {"name": "nginx$i"}}"; 
done 

ക്ലസ്റ്ററിന്റെ എല്ലാ നോഡുകളിലും, കൂടുതൽ കൂടുതൽ പുതിയ iptables നിയമങ്ങൾ ഏകദേശം ഒരേസമയം സൃഷ്ടിക്കപ്പെടും. മാത്രമല്ല, ഓരോ സേവനത്തിനും ഒരു ബില്യൺ iptables നിയമങ്ങൾ സൃഷ്ടിക്കും.

അനേകായിരങ്ങളിൽ, പത്ത് വരെ ഞാൻ ഇതെല്ലാം പരിശോധിച്ചു. പ്രശ്നം എന്തെന്നാൽ, ഇതിനകം ഈ പരിധിയിൽ നോഡിലേക്ക് ssh ചെയ്യുന്നത് തികച്ചും പ്രശ്നമാണ്. കാരണം, നിരവധി ചങ്ങലകളിലൂടെ കടന്നുപോകുന്ന പാക്കറ്റുകൾ അത്ര നല്ലതല്ലെന്ന് തോന്നാൻ തുടങ്ങുന്നു.

ഇതും കുബർനെറ്റസിന്റെ സഹായത്തോടെ പരിഹരിക്കപ്പെടുന്നു. അത്തരമൊരു റിസോഴ്സ് ക്വാട്ട ഒബ്ജക്റ്റ് ഉണ്ട്. ക്ലസ്റ്ററിലെ നെയിംസ്‌പെയ്‌സിനായി ലഭ്യമായ ഉറവിടങ്ങളുടെയും ഒബ്‌ജക്റ്റുകളുടെയും എണ്ണം സജ്ജമാക്കുന്നു. കുബർനെറ്റസ് ക്ലസ്റ്ററിന്റെ ഓരോ നെയിംസ്‌പെയ്‌സിലും നമുക്ക് ഒരു യാമൽ ഒബ്‌ജക്റ്റ് സൃഷ്‌ടിക്കാം. ഈ ഒബ്‌ജക്‌റ്റ് ഉപയോഗിച്ച്, ഈ നെയിംസ്‌പെയ്‌സിനായി ഞങ്ങൾക്ക് നിശ്ചിത എണ്ണം അഭ്യർത്ഥനകളും പരിധികളും അനുവദിച്ചിട്ടുണ്ടെന്ന് നമുക്ക് പറയാം, തുടർന്ന് ഈ നെയിംസ്‌പെയ്‌സിൽ 10 സേവനങ്ങളും 10 പോഡുകളും സൃഷ്‌ടിക്കാൻ കഴിയുമെന്ന് നമുക്ക് പറയാം. ഒരു ഡവലപ്പർക്ക് വൈകുന്നേരങ്ങളിൽ സ്വയം ശ്വാസം മുട്ടിക്കാനാകും. കുബെർനെറ്റസ് അവനോട് പറയും: "നിങ്ങളുടെ കായ്കൾ ആ തുകയിലേക്ക് സ്കെയിൽ ചെയ്യാൻ കഴിയില്ല, കാരണം റിസോഴ്സ് ക്വാട്ട കവിയുന്നു." അത്രയേയുള്ളൂ, പ്രശ്നം പരിഹരിച്ചു. ഡോക്യുമെന്റേഷൻ ഇവിടെ.

ഇക്കാര്യത്തിൽ ഒരു പ്രശ്നകരമായ പോയിന്റ് ഉയർന്നുവരുന്നു. കുബർനെറ്റസിൽ ഒരു നെയിംസ്പേസ് സൃഷ്ടിക്കുന്നത് എത്ര ബുദ്ധിമുട്ടാണെന്ന് നിങ്ങൾക്ക് തോന്നുന്നു. അത് സൃഷ്ടിക്കാൻ, നമ്മൾ ഒരുപാട് കാര്യങ്ങൾ കണക്കിലെടുക്കേണ്ടതുണ്ട്.

റിസോഴ്സ് ക്വാട്ട + പരിധി പരിധി + RBAC
• ഒരു നെയിംസ്പേസ് സൃഷ്ടിക്കുക
• ഉള്ളിൽ ഒരു ലിമിറ്റ്റേഞ്ച് സൃഷ്ടിക്കുക
• ഉള്ളിൽ റിസോഴ്സ് ക്വാട്ട സൃഷ്ടിക്കുക
• CI-യ്‌ക്കായി ഒരു സേവന അക്കൗണ്ട് സൃഷ്‌ടിക്കുക
• സിഐക്കും ഉപയോക്താക്കൾക്കും റോൾബൈൻഡിംഗ് സൃഷ്ടിക്കുക
• ഓപ്ഷണലായി ആവശ്യമായ സേവന പോഡുകൾ സമാരംഭിക്കുക

അതിനാൽ, എന്റെ സംഭവവികാസങ്ങൾ പങ്കിടാൻ ഈ അവസരം വിനിയോഗിക്കാൻ ഞാൻ ആഗ്രഹിക്കുന്നു. SDK ഓപ്പറേറ്റർ എന്നൊരു സംഗതിയുണ്ട്. ഒരു കുബർനെറ്റസ് ക്ലസ്റ്ററിന് ഓപ്പറേറ്റർമാരെ എഴുതുന്നതിനുള്ള ഒരു മാർഗമാണിത്. അൻസിബിൾ ഉപയോഗിച്ച് നിങ്ങൾക്ക് പ്രസ്താവനകൾ എഴുതാം.

ആദ്യം അൻസിബിളിൽ എഴുതിയിരുന്നു, പിന്നെ ഒരു SDK ഓപ്പറേറ്റർ ഉണ്ടെന്ന് ഞാൻ കണ്ടു, അൻസിബിൾ റോൾ ഒരു ഓപ്പറേറ്ററായി മാറ്റി. ഈ പ്രസ്താവന നിങ്ങളെ കുബർനെറ്റസ് ക്ലസ്റ്ററിൽ കമാൻഡ് എന്ന് വിളിക്കുന്ന ഒരു ഒബ്ജക്റ്റ് സൃഷ്ടിക്കാൻ അനുവദിക്കുന്നു. ഒരു കമാൻഡിനുള്ളിൽ, ഈ കമാൻഡിനുള്ള പരിസ്ഥിതിയെ yaml-ൽ വിവരിക്കാൻ ഇത് നിങ്ങളെ അനുവദിക്കുന്നു. ടീം പരിതസ്ഥിതിയിൽ, ഞങ്ങൾ വളരെയധികം വിഭവങ്ങൾ അനുവദിക്കുന്നുവെന്ന് വിവരിക്കാൻ ഇത് ഞങ്ങളെ അനുവദിക്കുന്നു.

ചെറിയ ഒന്ന് ഈ സങ്കീർണ്ണമായ മുഴുവൻ പ്രക്രിയയും എളുപ്പമാക്കുന്നു.

ഒപ്പം സമാപനത്തിലും. ഇതെല്ലാം എന്തുചെയ്യണം?
ആദ്യം. പോഡ് സുരക്ഷാ നയം നല്ലതാണ്. കുബെർനെറ്റ്സ് ഇൻസ്റ്റാളറുകളൊന്നും അവ ഇന്നുവരെ ഉപയോഗിക്കുന്നില്ല എന്ന വസ്തുത ഉണ്ടായിരുന്നിട്ടും, നിങ്ങൾ അവ ഇപ്പോഴും നിങ്ങളുടെ ക്ലസ്റ്ററുകളിൽ ഉപയോഗിക്കേണ്ടതുണ്ട്.

നെറ്റ്‌വർക്ക് നയം മറ്റൊരു അനാവശ്യ സവിശേഷത മാത്രമല്ല. ഇതാണ് ഒരു ക്ലസ്റ്ററിൽ ശരിക്കും വേണ്ടത്.

LimitRange/ResourceQuota - ഇത് ഉപയോഗിക്കാനുള്ള സമയമാണിത്. ഞങ്ങൾ ഇത് വളരെക്കാലം മുമ്പ് ഉപയോഗിക്കാൻ തുടങ്ങി, വളരെക്കാലമായി എല്ലാവരും ഇത് ഉപയോഗിക്കുന്നുണ്ടെന്ന് എനിക്ക് ഉറപ്പായിരുന്നു. ഇത് അപൂർവമാണെന്ന് തെളിഞ്ഞു.

റിപ്പോർട്ടിനിടെ ഞാൻ സൂചിപ്പിച്ചതിന് പുറമേ, ക്ലസ്റ്ററിനെ ആക്രമിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന രേഖകളില്ലാത്ത സവിശേഷതകളും ഉണ്ട്. അടുത്തിടെ റിലീസ് ചെയ്തു കുബർനെറ്റസ് കേടുപാടുകളുടെ വിപുലമായ വിശകലനം.

ചില കാര്യങ്ങൾ വളരെ സങ്കടകരവും വേദനിപ്പിക്കുന്നതുമാണ്. ഉദാഹരണത്തിന്, ചില വ്യവസ്ഥകൾക്ക് കീഴിൽ, ഒരു കുബർനെറ്റസ് ക്ലസ്റ്ററിലെ ക്യൂബലെറ്റുകൾക്ക് വാർലോക്ക് ഡയറക്ടറിയിലെ ഉള്ളടക്കങ്ങൾ അനധികൃത ഉപയോക്താവിന് നൽകാൻ കഴിയും.

ഇവിടെ ഞാൻ നിങ്ങളോട് പറഞ്ഞതെല്ലാം എങ്ങനെ പുനർനിർമ്മിക്കണമെന്നതിനുള്ള നിർദ്ദേശങ്ങളുണ്ട്. ResourceQuota, Pod Security Policy എന്നിവ എങ്ങനെയിരിക്കും എന്നതിന്റെ പ്രൊഡക്ഷൻ ഉദാഹരണങ്ങളുള്ള ഫയലുകളുണ്ട്. പിന്നെ ഇതൊക്കെ തൊടാം.

എല്ലാവർക്കുംനന്ദി.

അവലംബം: www.habr.com